为什么突然都在谈”后量子”
2024 年 8 月，美国国家标准与技术研究院（NIST）正式发布后量子密码标准 FIPS 203（ML-KEM），为全球 TLS 生态的密码学升级画出了明确路线。所谓”后量子加密”，就是抗量子计算机攻击的密码算法——一旦足够强的量子计算机问世，现役 RSA / ECDSA 公钥体系将被 Shor 算法在多项式时间内攻破，HTTPS 加密将形同虚设。
更紧迫的是”先收集、后解密”（Harvest Now, Decrypt Later）威胁：攻击者现在就在加密流量，等量子计算机成熟后批量解密。敏感数据可能在未来某一天被翻旧账，这就是全球科技巨头加速推进后量子化改造的原因。
从 Kyber 到 ML-KEM：标准化的关键一步
ML-KEM 原名 Kyber，是基于格密码（lattice-based）的密钥封装机制（KEM），被 NIST 选定为后量子时代的加密标准算法之一。它与 TLS 的结合方式是混合密钥交换：在现有 ECDHE 密钥交换之外，叠加一层 ML-KEM 封装，两种算法”双保险”——即使量子算法未来被攻破，经典算法仍提供保护，反之亦然。
浏览器与云厂商的行动非常迅速：
| 主体 | 后量子动作 |
|---|---|
| Chrome | 130 版本起默认启用 X25519MLKEM768 混合密钥交换 |
| Firefox | 131 版本起默认启用 |
| Cloudflare | 全线产品支持后量子密码，边缘节点已部署（官方文档） |
| 主流服务器库 | OpenSSL、BoringSSL 等已合入 ML-KEM 支持 |
对普通用户来说，这一切是透明的：现代浏览器访问支持后量子密钥交换的站点时，握手自动升级，无需任何配置。
后量子改造会改变证书体系吗
需要区分两个层面：
- 密钥交换（握手加密）：正在向混合后量子迁移，如上所述，这是当前改造的主战场。
- 证书签名（身份认证）：X.509 证书目前仍以 RSA / ECDSA 签名为主，短期内不会强制更换。NIST 同期发布了 ML-DSA（FIPS 204，原名 Dilithium）作为后量子签名标准，未来证书签名算法存在过渡可能，但涉及根证书、旧设备兼容等庞大工程，会是一个以十年计的渐进过程。
因此，站长当下不需要更换证书，但需要确保服务器支持现代 TLS 1.3 与混合密钥交换，避免因加密套件过旧而被排除在量子安全连接之外。
站长升级路线图
- 启用 TLS 1.3：后量子密钥交换主要运行在 TLS 1.3 上，确认 nginx / Apache / IIS 配置了 TLS 1.3 与相应密码套件（如
TLS_AES_128_GCM_SHA256配合X25519MLKEM768）。 - 保持软件更新：OpenSSL、系统库、Web 服务器版本及时升级，跟随官方对 ML-KEM 的支持进度。
- 证书策略保持现状：证书有效期缩短（45 天）与后量子改造是两条独立路线，前者解决”泄露窗口”，后者解决”量子威胁”，互不冲突（见45 天政策解读）。
- 关注根证书生态变化：Let’s Encrypt 已启用 Generation Y 新根层级（见新根证书解读），长期看签名算法升级会与后量子路线交汇。
常见问题
- 量子计算机会立刻攻破 HTTPS 吗？ 不会。现役量子计算机远未达到破解 RSA/ECDSA 所需的规模，但”先收集后解密”威胁已经现实存在，所以升级要趁早。
- 后量子加密会让网站变慢吗？ 混合密钥交换的握手开销略有增加，但现代实现（如 Kyber 的紧凑密钥）影响很小，多数场景无感知。
- 我的旧服务器需要马上更换证书吗？ 不需要。证书体系暂时不变，先升级 TLS 版本与加密库即可。
- 中国站长需要关注这个趋势吗？ 需要。浏览器厂商（Chrome/Edge/Firefox）是全球同步更新的，客户端侧默认启用后，服务器侧不跟进就意味着放弃这部分性能与安全优化。
想了解免费证书本身的安全性设计，可阅读Let’s Encrypt 免费证书安全吗；证书算法与密钥类型的现状可参考免费 SSL 证书横向对比。